Multiples vulnérabilités affectant GitLab CE/EE

GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion du cycle de vie DevOps permettant l'hébergement de dépôts de code source, la collaboration et l'intégration et le déploiement continus (CI/CD). Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2026-97229 (CVSS 10.0) : exécution de code arbitraire sur le serveur via le compilateur d'expressions régulières CI/CD, due à un dépassement d'entier résultant d'une validation insuffisante des expressions régulières. Son exploitation permettrait à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur GitLab au moyen d'une expression régulière spécialement conçue placée dans une configuration CI/CD. CVE-2026-92883 (CVSS 8.7) : exécution de code JavaScript arbitraire dans le contexte de la session d'autres utilisateurs via la coloration syntaxique, due à un assainissement incorrect des attributs HTML dans le rendu généré. Son exploitation permettrait à un attaquant authentifié d'exécuter ce code au moyen d'un dépôt spécialement conçu. CVE-2026-16301 (CVSS 8.5) : exécution de pipelines CI/CD sur des branches protégées via le service de création de pipelines en aval, due à des contrôles de permissions incorrects. Son exploitation permettrait à un attaquant authentifié disposant du rôle Developer d'exécuter ces pipelines sans autorisation. CVE-2026-14814 (CVSS 8.2) : empoisonnement des réponses mises en cache pour les fichiers bruts des dépôts via l'accès aux fichiers, dû à une validation incorrecte des références de dépôt. Son exploitation pourrait permettre à un attaquant de faire exécuter un contenu spécialement conçu par les pipelines CI/CD des utilisateurs ciblés et d'exposer des variables d'environnement protégées. CVE-2026-81839 (CVSS 7.7) : exécution de pipelines CI/CD arbitraires dans un projet transféré avec les privilèges du nouveau groupe, due à un assainissement incorrect des enregistrements de politique d'exécution des pipelines planifiés. Son exploitation permettrait à un attaquant authentifié d'exécuter ces pipelines. CVE-2026-96893 (CVSS 7.3) : injection de contenu spécialement conçu dans les instructions des agents IA de GitLab Duo Agent Platform, due à une neutralisation incorrecte d'éléments spéciaux lors de la construction du contexte de conversation. Son exploitation permettrait à un acteur malveillant authentifié de provoquer l'exécution de commandes non prévues attribuées à d'autres utilisateurs. CVE-2026-101168 (CVSS 6.2) : accès à des jetons d'accès et à d'autres secrets via les journaux de GitLab Pages, en raison de l'insertion de données de requête sensibles dans les fichiers journaux et les événements de suivi des erreurs. Son exploitation permettrait à un attaquant authentifié ayant accès à ces journaux d'obtenir ces informations. CVE-2026-7767 (CVSS 5.8) : transmission de jetons d'authentification sensibles à un serveur non prévu via le proxy Kubernetes, due à une validation incorrecte des redirections. Son exploitation permettrait à un acteur malveillant authentifié contrôlant un agent Kubernetes de provoquer cette transmission. CVE-2026-16275 (CVSS 5.3) : lecture de notes confidentielles de projets publics via le composant notes de l'API GraphQL, due à des contrôles de permissions incorrects. Son exploitation permettrait à un acteur malveillant non authentifié de lire ces notes. CVE-2026-84284 (CVSS 5.3) : lecture du contenu d'éléments de travail appartenant à des groupes et projets privés via la hiérarchie des éléments de travail de l'API GraphQL, due à des contrôles de permissions incorrects. Son exploitation permettrait à un acteur malveillant non authentifié de lire ce contenu. CVE-2026-100755 (CVSS 4.6) : empoisonnement du contenu de pages mises en cache et servies à d'autres utilisateurs via les demandes de fusion, dû à une construction incorrecte de la clé de cache. Son exploitation permettrait à un acteur malveillant authentifié de provoquer cet empoisonnement dans certaines configurations de déploiement. CVE-2026-14552 (CVSS 4.3) : lecture du contenu d'epics confidentiels devant être restreints par une autorisation externe via l'API GraphQL des éléments de travail, due à des contrôles d'autorisation incorrects. Son exploitation permettrait à un attaquant authentifié disposant d'un accès invité de lire ce contenu. CVE-2026-6567 (CVSS 4.3) : accès à des rapports d'artefacts CI restreints via le point d'accès de comparaison des rapports d'accessibilité des demandes de fusion, dû à l'absence de contrôles de permissions. Son exploitation permettrait à un acteur malveillant authentifié disposant du rôle Reporter d'accéder à ce contenu. CVE-2026-104661 (CVSS 4.3) : configuration et exécution d'un pipeline de conformité spécialement conçu dans les projets d'un groupe via des rôles personnalisés, dues à une attribution incorrecte des privilèges. Son exploitation permettrait à un attaquant authentifié disposant d'un rôle personnalisé avec les permissions Compliance Framework Admin de procéder à cette exécution. CVE-2026-105458 (CVSS 4.3) : obtention d'un jeton GitLab Duo Agent Platform en contournant les contrôles de gouvernance, due au recours à une entrée non vérifiée dans une décision de sécurité. Son exploitation permettrait à un attaquant authentifié disposant d'une permission granulaire spécifique d'obtenir ce jeton.

• GitLab CE/EE, versions antérieures à 19.2.8, versions 19.3 antérieures à 19.3.4 et versions 19.4 antérieures à 19.4.2 ;
• GitLab EE, versions antérieures à 19.2.8, versions 19.3 antérieures à 19.3.4 et versions 19.4 antérieures à 19.4.2.